Bug Bounty & Vulnerability Disclosure

Eine Vulnerability Disclosure Policy (VDP) schafft einen geregelten Meldekanal: Sie definiert Scope, Spielregeln und rechtliche Zusicherungen für externe Meldende – ohne Vergütungsversprechen. Ein Bug-Bounty-Programm setzt darauf auf und vergütet valide Funde, um gezielt Prüfaufwand auf die eigenen Systeme zu lenken. Öffentliche Programme stehen allen offen und maximieren die Reichweite, erzeugen aber erheblichen Triage-Aufwand; private Programme laden ausgewählte, überprüfte Researcher ein und erlauben eine engere Steuerung von Scope und Qualität. Bewährt hat sich die Reihenfolge: erst VDP und interner Handling-Prozess, dann Bounty-Programm.

Coordinated Vulnerability Disclosure (CVD) bezeichnet das abgestimmte Vorgehen zwischen Findern, Herstellern bzw. Betreibern und – falls nötig – einem Koordinator, bis eine Schwachstelle behoben und kontrolliert veröffentlicht ist. Der Prozess umfasst typischerweise Eingangsbestätigung, Triage und Verifikation, Behebung sowie die koordinierte Publikation eines Advisories. Als Fristenkonvention haben sich vielfach 90 Tage etabliert; Google Project Zero etwa arbeitet mit einem „90+30“-Modell. In Deutschland tritt das BSI als Koordinator auf, wenn Hersteller nicht reagieren oder der CVD-Prozess zu scheitern droht; die NIS2-Richtlinie verpflichtet die EU-Mitgliedstaaten darüber hinaus zu nationalen CVD-Politiken.

Zwei komplementäre Normen strukturieren das Thema. ISO/IEC 29147:2018 beschreibt die Schnittstelle nach außen: wie Organisationen Schwachstellenmeldungen entgegennehmen, mit Meldenden kommunizieren und Remediation-Informationen veröffentlichen. ISO/IEC 30111:2019 regelt den internen Prozess: Meldungen verifizieren, Auswirkungen bewerten, Behebungen entwickeln und ausrollen. Beide Ausgaben sind aktuell gültig (zuletzt 2024 bzw. 2025 bestätigt) und eignen sich als Referenzrahmen für Policy- und Prozessdesign – auch mit Blick auf die Anforderungen des Cyber Resilience Acts.

RFC 9116 (Informational, 2022) definiert mit security.txt ein maschinenlesbares Format, über das Meldende den richtigen Kontaktweg finden: eine Textdatei unter /.well-known/security.txt, ausgeliefert über HTTPS. Pflichtfelder sind Contact und Expires; empfohlen wird eine Gültigkeit von unter einem Jahr, damit die Angaben aktuell bleiben. Optionale Felder wie Policy, Encryption, Preferred-Languages und Acknowledgments verweisen auf die Disclosure-Policy, Schlüsselmaterial oder bevorzugte Sprachen. Die Datei ist der schnellste erste Schritt zu einer funktionierenden VDP – vorausgesetzt, der hinterlegte Kontakt wird tatsächlich überwacht.

Bug-Bounty-Vergütungen orientieren sich üblicherweise am Schweregrad, meist auf Basis des Common Vulnerability Scoring System (CVSS) der FIRST, aktuell in Version 4.0 (2023). Üblich sind feste Beträge oder Spannen je Schweregrad-Stufe; vergütet wird in der Regel nur die erste valide Meldung einer Schwachstelle, Duplikate und Out-of-Scope-Funde nicht. Beim Betrieb gibt es drei Grundmodelle: Eigenbetrieb (volle Kontrolle, aber eigener Triage- und Auszahlungsaufwand), kommerzielle Plattformen (große Reichweite, dafür mehr Rauschen in der Triage) und Managed-Programme mit kuratierten, identifizierten Researchern und Triage durch den Anbieter. VamiSec betreibt beispielsweise ein privates, kuratiertes Bug-Bounty-Programm als Managed Service.

Der Cyber Resilience Act (Verordnung (EU) 2024/2847) macht geordnetes Schwachstellen-Handling für Hersteller von Produkten mit digitalen Elementen verbindlich. Anhang I Teil II verlangt unter anderem eine Software-Stückliste (SBOM), die unverzügliche Behebung von Schwachstellen durch kostenlose Sicherheitsupdates, eine Policy zur koordinierten Offenlegung von Schwachstellen sowie eine Kontaktadresse für Schwachstellenmeldungen. Ab dem 11.09.2026 greifen zudem die Meldepflichten nach Art. 14: Aktiv ausgenutzte Schwachstellen sind binnen 24 Stunden (Frühwarnung) und 72 Stunden (Meldung) an das als Koordinator benannte CSIRT und die ENISA über die zentrale Meldeplattform zu melden, ein Abschlussbericht folgt spätestens 14 Tage nach Verfügbarkeit einer Korrekturmaßnahme. Die übrigen Pflichten gelten im Wesentlichen ab dem 11.12.2027 – wer VDP und CVD-Prozess jetzt aufbaut, erfüllt damit einen Kernbaustein der CRA-Compliance.